Den danske databeskyttelseslov siger, at man må behandle persondata såfremt man har et gyldigt juridisk grundlag for at behandle persondata. Læs mere om lovlige behandlinger (artikel 6).
(Dataretligt) GDPR samtykke
Et juridisk gyldigt grundlag kan fx være at den dataansvarlige får et "dataretligt" GDPR samtykke med registranten.
- Samtykket skal være frivilligt, specifikt, informeret og utvetydigt.
- Skriv gerne din formulering i sammenhængende tekst og i et neutralt sprog, så den er letlæselig for og tilpasset den, der skal skrive under (den registrerede).
- Persondatakategorier skal fremgå tydeligt (læs mere om typer af personoplysninger)
- Almindelige oplysninger
- Fortrolige oplysninger
- Oplysninger om straffedomme og lovovertrædelser
- Følsomme oplysninger
- Formålet for databehandlingen skal beskrives meget klart, samt hvem oplysningerne eventuelt videregives til. Hvis oplysningerne skal offentliggøres, forskes af andre eller på anden måde overdrages til andre, skal dette ligeledes være klart og tydeligt beskrevet.
- Ved onlineversioner er det ok med et felt, hvor man skal klikke “accepter” (feltet må ikke være udfyldt på forhånd).
Du kan i højre side finde en Absalonskabelon til en dataretlig GDPR samtykkeerklæring for hhv. Absalon medarbejdere og studerende.
OPMÆRKSOMHED: et dataretligt GDPR samtykke kan til enhver tid trækkes tilbage.
- Det betyder, at du som dataansvarlig pludselig (såfremt et samtykke trækkes tilbage) ikke længere (fremadrettet) må behandle vedkommendes persondata.
- Du skal enten slette eller anonymisere vedkommendes persondata, således at det på ingen måde fremover kan lade sig gøre at genskabe vedkommendes data.
Hvis du bedriver forskning i samfundets interesse, har du dog allerede et legitimt juridisk grundlag for at behandle persondata, og du behøver således ikke at indhente et dataretligt GDPR-samtykke.
Udtrykkeligt GDPR samtykke
I nogle tilfælde stilles der krav om et udtrykkeligt GDPR samtykke fra den registrerede.
Det drejer sig bl.a. om den situation, hvor den dataansvarlige ønsker at behandle følsomme oplysninger (f.eks. oplysning om race eller etnisk oprindelse, politisk, religiøs overbevisning, fagforeningsmæssigt tilhørsforhold eller helbredsoplysninger), ved automatiseret behandling og profilering og ved overførsel til et usikkert tredjeland.
Forordningen forklarer ikke nærmere, hvad der skal forstås ved et udtrykkeligt samtykke, og formuleringen medfører ikke et yderligere skærpet krav til samtykket, men understreger vigtigheden af, at der ikke må være tvivl om, at der er afgivet samtykke.
Den dataansvarlige skal kunne bevise, at der foreligger et udtrykkeligt samtykke, og det vil derfor kunne være hensigtsmæssigt, at et samtykke foreligger skriftligt.
Oplysningspligt (Artikel 13)
I databeskyttelsesforordningen er det et krav, at den dataansvarlige inden indsamling af personoplysninger opfylder sin oplysningspligt over for de personer hvis oplysninger, man ønsker at indsamle.
Artikel 13 i databeskyttelsesforordningen indeholder de krav, der er til oplysningspligten, hvis man indsamler personoplysningerne direkte fra personerne, mens artikel 14 i databeskyttelsesforordningen omhandler oplysningspligten, hvis man indsamler personoplysningerne fra andre end dem selv, fx fra sociale medier eller lignende.
Læs mere om oplysningspligten (artikel 13).
Opmærksomhed: i skabelonerne på siden om oplysningspligten skal du huske at skrive hvilken juridisk hjemmel du har til at behandle persondata.
- Samtykke: artikel 6, stk 1, litra a (samtykke kan trækkes tilbage)
- Forskning i samfundets interesse: artikel 6, stk 1, litra e (ingen samtykke nødvendig)
